Komprimiert man zuerst und verschlüsselt dann, oder verschlüsselt man zuerst und komprimiert dann?
Kurzantwort
Zuerst komprimieren, dann verschlüsseln. Gute Verschlüsselung erzeugt eine Ausgabe, die statistisch nicht von Zufall zu unterscheiden ist, sodass im Chiffretext keine Muster mehr zum Komprimieren übrig bleiben — danach zu komprimieren ist sinnlos. Der wichtige Vorbehalt: geheime und vom Angreifer kontrollierte Daten vor der Verschlüsselung gemeinsam zu komprimieren kann über die Chiffretext-Länge Informationen verraten, genau das sind die Angriffe CRIME und BREACH.
Die Reflexantwort „komprimieren, dann verschlüsseln“ ist richtig — aber der Interviewer prüft eigentlich, ob Sie wissen warum, und ob Sie die gefährliche Ausnahme kennen. Die richtigen Worte aus den falschen Gründen zu sagen, ist das, was diese Frage entlarvt.
Die Größen-Begründung
Komprimierung funktioniert, indem sie Redundanz und Muster findet und entfernt. Eine gut entworfene Chiffre ist gezielt so konstruiert, dass ihre Ausgabe wie gleichmäßiges Zufallsrauschen aussieht — es ist im Wesentlichen keine Redundanz mehr zum Ausnutzen vorhanden. Wenn Sie also zuerst verschlüsseln, ist der Chiffretext nicht komprimierbar und Sie haben Ihre einzige Chance verspielt, die Daten zu verkleinern. Komprimieren Sie zuerst, solange die Struktur noch existiert, und verschlüsseln Sie dann das kleinere Ergebnis. Die Ablenker, die „kein Unterschied“ oder „Verschlüsselung repariert Zufälligkeit“ behaupten, haben das verkehrt herum.
Die gefährliche Ausnahme
Die Reihenfolge ist kein kostenloser Gewinn. Die Angriffe CRIME und BREACH zeigen, dass, wenn Sie eine Mischung aus geheimen Daten und vom Angreifer beeinflussten Daten komprimieren und dann verschlüsseln, die Länge des resultierenden Chiffretexts Informationen verrät. Wenn die Vermutung des Angreifers mit dem Geheimnis überlappt, verkleinert die Komprimierung die Ausgabe, und die beobachtbare Größe bestätigt die Vermutung Byte für Byte. Deshalb wurde Komprimierung auf TLS-Ebene praktisch abgeschafft (CRIME) und deshalb ist die Komprimierung von HTTP-Antworten mit geheimnishaltigen Seiten riskant (BREACH).
Die praktische Regel
Komprimieren Sie vor dem Verschlüsseln zugunsten der Größe — aber komprimieren Sie niemals vom Angreifer kontrollierte und geheime Daten gemeinsam in derselben verschlüsselten Einheit. Im Zweifelsfall sollten Sie bei sicherheitsrelevanten Antworten die Komprimierung deaktivieren.
Worauf Interviewer achten
Die richtige Reihenfolge mit der Entropie-Begründung und die unaufgeforderte Erwähnung von CRIME/BREACH als Haken. Diese Kombination signalisiert echtes Verständnis, kein auswendig gelerntes Schlagwort.
Wahrscheinliche Anschlussfragen
- Warum lassen sich korrekt verschlüsselte Daten nicht komprimieren?
- Wie nutzen CRIME und BREACH das Schema komprimieren-dann-verschlüsseln aus?
- Wann würden Sie sich entscheiden, die Komprimierung ganz zu deaktivieren?